Installer manuellement le certificat de périphérique personnalisé

Vous pouvez installer manuellement un certificat de périphérique personnalisé (CDC) sur le téléphone en téléchargeant le certificat à partir de la page web d'administration du téléphone.

Avant de commencer

Avant de pouvoir installer un certificat de périphérique personnalisé pour un téléphone, vous devez avoir :

  • Un fichier de certificat (.p12 ou .pfx) enregistré sur votre PC. Le fichier contient le certificat et la clé privée.
  • Le mot de passe extrait du certificat. Le mot de passe est utilisé pour déchiffrer le fichier du certificat.
1

Accédez à la page web d'administration du téléphone.

2

Sélectionnez Certificat.

3

Dans la section Ajouter un certificat, cliquez sur Parcourir...

4

Accédez au certificat sur votre PC.

5

Dans le champ Extraire le mot de passe, saisissez le mot de passe d'extraction du certificat.

6

Cliquez sur Charger.

Si le fichier du certificat et le mot de passe sont corrects, vous recevrez le message « Certificat ajouté. ». Sinon, le téléchargement échoue avec un message d'erreur indiquant que le certificat ne peut pas être téléchargé.
7

Pour vérifier les détails du certificat installé, cliquez sur Afficher dans la section Certificats existants.

8

Pour supprimer le certificat installé du téléphone, cliquez sur Supprimer dans la section Certificats existants.

Une fois que vous cliquez sur le bouton, l'opération de suppression démarre immédiatement sans confirmation.

Si le certificat est supprimé avec succès, vous recevrez le message « Certificat supprimé. ».

Installer automatiquement le certificat de périphérique personnalisé par SCEP

Vous pouvez configurer les paramètres SCEP (Simple Certificate Enrollment Protocol) pour installer automatiquement le certificat de périphérique personnalisé (CDC), si vous ne souhaitez pas télécharger manuellement le fichier de certificat ou si le fichier de certificat n'est pas en place.

Lorsque les paramètres SCEP sont correctement configurés, le téléphone envoie des demandes au serveur SCEP et le certificat d'autorité de certification est validé par le périphérique à l'aide de l'empreinte définie.

Avant de commencer

Avant de pouvoir effectuer une installation automatique d'un certificat de périphérique personnalisé pour un téléphone, vous devez avoir :

  • Adresse du serveur SCEP
  • Empreinte SHA-1 ou SHA-256 du certificat d'autorité de certification racine du serveur SCEP
1

Accédez à la page web d'administration du téléphone.

2

Sélectionnez Certificat.

3

Dans la section Configuration SCEP 1, définissez les paramètres comme décrit dans le tableau suivant Paramètres de configuration SCEP.

4

Cliquez sur Envoyer toutes les modifications.

Paramètres de configuration SCEP

Le tableau suivant définit la fonction et l'utilisation des paramètres de configuration SCEP dans la section Configuration SCEP 1 sous l'onglet Certificat de l'interface Web du téléphone. Il définit également la syntaxe de la chaîne ajoutée au fichier de configuration du téléphone (cfg.xml) pour configurer un paramètre.

Tableau 1. Paramètres de configuration SCEP
ParamètresDescription
Serveur

Adresse du serveur SCEP. Ce paramètre est obligatoire.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>

  • Dans la page Web du téléphone, saisissez l'adresse du serveur SCEP.

Valeurs valides : UNE URL ou une adresse IP. Le schéma HTTPS n’est pas pris en charge.

Par défaut Vide

Empreinte d'autorité de certification racine

Empreinte SHA256 ou SHA1 de l'autorité de certification racine pour validation au cours du processus SCEP. Ce paramètre est obligatoire.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • Dans la page Web du téléphone, saisissez une empreinte digitale valide.

Par défaut Vide

Changer le mot de passe

Le mot de passe de test pour l'autorisation d'autorité de certification (AC) par rapport au téléphone au cours d'un enregistrement de certificat via SCEP. Ce paramètre est facultatif.

Selon l'environnement SCEP actuel, le comportement du mot de passe du défi varie.

  • Si le téléphone obtient un certificat d'une autorité de certification Cisco qui communique avec l'autorité de certification, le mot de passe de défi n'est pas pris en charge par l'autorité de certification. Dans ce cas, Cisco RA utilise le MIC/SUDI du téléphone pour l'authentification afin d'accéder à l'autorité de certification. Le téléphone utilise MIC/SUDI à la fois pour l'inscription initiale et le renouvellement de certificat.
  • Si le téléphone obtient un certificat en communiquant directement avec l'autorité de certification, le mot de passe du défi est pris en charge par l'autorité de certification. S’il est configuré, il ne sera utilisé que pour l’inscription initiale. Pour le renouvellement du certificat, le certificat installé sera utilisé à la place.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>

    Le mot de passe est masqué dans le fichier de configuration.

  • Dans la page Web du téléphone, saisissez le mot de passe du défi.

Par défaut Vide

Configuration des paramètres SCEP via l’option DHCP 43

Outre l'inscription du certificat SCEP par les configurations manuelles sur la page Web du téléphone, vous pouvez également utiliser l'option DHCP 43 pour renseigner les paramètres à partir d'un serveur DHCP. L'option DHCP 43 est préconfigurée avec les paramètres SCEP, plus tard le téléphone peut récupérer les paramètres à partir du serveur DHCP pour effectuer l'enregistrement du certificat SCEP.

  • La configuration des paramètres SCEP via l'option DHCP 43 n'est disponible que pour le téléphone sur lequel une réinitialisation d'usine est effectuée.
  • Les téléphones ne doivent pas être placés dans le réseau qui prend en charge l’option 43 et la mise à disposition à distance (par exemple, les options 66,160,159,150, ou la mise à disposition dans le Cloud). Sinon, les téléphones risquent de ne pas obtenir les configurations de l'option 43.

Pour enregistrer un certificat SCEP en configurant les paramètres SCEP dans l'option DHCP 43, procédez comme suit :

  1. Préparer un environnement SCEP.

    Pour plus d'informations sur la configuration de l'environnement SCEP, consultez la documentation de votre serveur SCEP.

  2. Configurez l'option DHCP 43 (définie dans 8.4 Informations spécifiques au fournisseur, RFC 2132).

    Les sous-options (10 à 15) sont réservées à la méthode :

    Paramètre sur la page web du téléphoneSous-optionTypeLongueur (octet)Obligatoire
    Mode FIPS10Boolean1Non*
    Serveur11Chaîne de caractères208 - longueur (mot de passe de défi)Oui
    Empreinte d'autorité de certification racine12binaire20 ou 32Oui
    Changer le mot de passe13Chaîne de caractères208 : longueur (Serveur)Non*
    Activer l'authentification 802.1X14Boolean1Non
    Sélection du certificat158 bits non signé1Non

    Lorsque vous utilisez l'option DHCP 43, notez les caractéristiques suivantes de la méthode :

    • Les sous-options (10 à 15) sont réservées pour le certificat de périphérique personnalisé (CDC).
    • La longueur maximale de l'option DHCP 43 est de 255 octets.
    • La longueur maximale de Serveur + Mot de passe de défi doit être inférieure à 208 octets.
    • La valeur du Mode FIPS doit être cohérente avec la configuration du provisionnement de l’intégration. Sinon, le téléphone ne parvient pas à récupérer le certificat installé précédemment après son intégration. Plus précisément,
      • Si le téléphone sera enregistré dans un environnement dans lequel le mode FIPS est désactivé, vous n'avez pas besoin de configurer le paramètre Mode FIPS dans l'option DHCP 43. Par défaut, le mode FIPS est désactivé.
      • Si le téléphone sera enregistré dans un environnement dans lequel le mode FIPS est activé, vous devez activer le mode FIPS dans l'option DHCP 43. Voir Activer le mode FIPS pour plus d’informations.
    • Le mot de passe de l'option 43 est en texte clair.

      Si le mot de passe du défi est vide, le téléphone utilise MIC/SUDI pour l'inscription initiale et le renouvellement du certificat. Si le mot de passe du défi est configuré, il est utilisé uniquement pour l'inscription initiale et le certificat installé sera utilisé pour le renouvellement du certificat.

    • Activer l'authentification 802.1X et Sélectionner le certificat sont utilisés uniquement pour les téléphones des réseaux câblés.
    • L’option DHCP 60 (Vendor Class Identifier) est utilisée pour identifier le modèle de périphérique.

    Le tableau suivant fournit un exemple d'option DHCP 43 (sous-options 10 à 15) :

    Sous-option décimale/hexLongueur de la valeur (octet) décimale/hexValeurValeur Hex
    10/0a01/011 (0 : Désactivé ; 1 : Activé)01
    11/0b12/18http://10.79.57.91687474703a2f2f31302e37392e35372e3931
    12/0c14/2012040870625c5b755d73f5925285f8f5ff5d55af12040870625c5b755d73f5925285f8f5ff5d55af
    13/0j16/10d ccf9b9952a1544323333434346394239393532413135
    14/0e01/011 (0 : N°1 : Oui*01
    15/0f01/011 (0 : Fabrication installée ; 1 : Personnalisé installé) 01

    Résumé des valeurs des paramètres :

    • Mode FIPS = Activé

    • Serveur = http://10.79.57.91

    • Empreinte d'autorité de certification racine = 12040870625C5B755D73F5925285F8F5FF5D55AF

    • Mot de passe du défi = D <UNK> CCF9B9952A15

    • Activer l'authentification 802.1X = Oui

    • Sélection du certificat = Personnalisé installé

    La syntaxe de la valeur hexadécimale finale est : {<suboption><length><value>}...

    Selon les valeurs de paramètres ci-dessus, la valeur hexadécimale finale est la suivante :

    0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

  3. Configurez l'option DHCP 43 sur un serveur DHCP.

    Cette étape fournit un exemple de configurations de l’option DHCP 43 sur le registre réseau Cisco.

    1. Ajouter une définition d'option DHCP définie.

      La chaîne d'option du fournisseur est le nom de modèle des téléphones IP. La valeur valide est : DP-9841, DP-9851, DP-9861, DP-9871 ou CP-8875.

    2. Ajoutez l'option DHCP 43 et les sous-options à l'ensemble de définition d'option DHCP.

      Exemple :

      Capture d’écran des définitions de l’option DHCP 43 sur le registre du réseau Cisco

    3. Ajoutez les options 43 à la politique DHCP et configurez la valeur en procédant comme suit :

      Exemple :

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D <UNK> CCF9B9952A15)(14 1)(15 1)

    4. Vérifiez vos paramètres Vous pouvez utiliser Wireshark pour capturer une trace du trafic réseau entre le téléphone et le service.
  4. Effectuez une réinitialisation d'usine du téléphone.

    Après la réinitialisation du téléphone, les paramètres Serveur, Empreinte de l'autorité de certification racine et Mot de passe de défi sont remplis automatiquement. Ces paramètres se trouvent dans la section Configuration SCEP 1 de Certificat > Personnalisé sur la page web d'administration du téléphone.

    Pour vérifier les détails du certificat installé, cliquez sur Afficher dans la section Certificats existants.

    Pour vérifier le statut d'installation du certificat, sélectionnez Certificat > Statut personnalisé du certificat. Le Statut de téléchargement 1 affiche le dernier résultat. Si un problème se produit pendant l'enregistrement du certificat, l'état du téléchargement peut afficher la raison du problème pour des raisons de dépannage.

    Si l'authentification du mot de passe de défi échoue, les utilisateurs sont invités à saisir le mot de passe sur l'écran du téléphone.
  5. (Facultatif) : Pour supprimer le certificat installé du téléphone, cliquez sur Supprimer dans la section Certificats existants.
    Une fois que vous cliquez sur le bouton, l'opération de suppression démarre immédiatement sans confirmation.

Renouvellement des certificats par SCEP

Le certificat du périphérique peut être actualisé automatiquement par le processus SCEP.

  • Le téléphone vérifie si le certificat expirera dans 15 jours toutes les 4 heures. Si tel est le cas, le téléphone lance automatiquement le processus de renouvellement de certificat.
  • Si le mot de passe du défi est vide, le téléphone utilise MIC/SUDI à la fois pour l'inscription initiale et le renouvellement du certificat. Si le mot de passe du défi est configuré, il est utilisé uniquement pour l'inscription initiale, le certificat existant/installé est utilisé pour le renouvellement du certificat.
  • Le téléphone ne supprime pas le certificat de l'ancien périphérique tant qu'il n'en récupère pas le nouveau.
  • Si le renouvellement de certificat échoue parce que le certificat du périphérique ou l'autorité de certification expire, le téléphone déclenche automatiquement l'inscription initiale. En attendant, si l'authentification du mot de passe de défi échoue, un écran de saisie du mot de passe s'affiche sur l'écran du téléphone et les utilisateurs sont invités à saisir le mot de passe de défi sur le téléphone.

Activer le mode FIPS

Vous pouvez rendre un téléphone conforme aux normes fédérales de traitement des informations (FIPS).

Les FIPS sont un ensemble de normes qui décrivent le traitement de documents, les algorithmes de chiffrement et d'autres normes de technologie de l'information à utiliser au sein d'un gouvernement non militaire et par des sous-traitants et des fournisseurs gouvernementaux qui travaillent avec les agences. CiscoSSL FOM (FIPS Object Module) est un composant logiciel soigneusement défini et conçu pour être compatible avec la bibliothèque CiscoSSL, de sorte que les produits utilisant la bibliothèque CiscoSSL et l'API peuvent être convertis pour utiliser la cryptographie validée FIPS 140-2 avec un minimum d'effort.

1

Accédez à la page web d'administration du téléphone.

2

Sélectionnez Voix > Système.

3

Dans la section Paramètres de sécurité, choisissez Oui ou Non à partir du paramètre Mode FIPS.

4

Cliquez sur Envoyer toutes les modifications.

Lorsque vous activez FIPS, les fonctionnalités suivantes fonctionnent de manière transparente sur le téléphone :
  • Authentification des images
  • Stockage sécurisé
  • Chiffrement du fichier de configuration
  • tls :
    • HTTP
    • Chargement PRT
    • Mise à niveau du micrologiciel
    • Resynchronisation du profil
    • Service intégré
    • Intégration de Webex
    • SRTP sur TLS
    • 802.1x (câblé)
  • Résumé SIP (RFC 8760)
  • RTCP
  • Journaux d’appels Webex et répertoire Webex
  • One Button to Push (OBTP)

Supprimer manuellement un certificat de sécurité

Vous pouvez supprimer manuellement un certificat de sécurité d'un téléphone si le protocole d'inscription des certificats simples (SCEP) n'est pas disponible.

1

À partir de la page web d'administration du téléphone, sélectionnez Certificats.

2

Recherchez le certificat sur la page Certificats.

3

Cliquez sur Supprimer.

4

Redémarrez le téléphone une fois le processus de suppression terminé.

Configurer le mot de passe de l’utilisateur et de l’administrateur

Une fois que le téléphone est enregistré auprès d'un système de contrôle d'appels pour la première fois ou que vous effectuez une réinitialisation d'usine sur le téléphone, vous devez définir le mot de passe utilisateur et administrateur pour renforcer la sécurité du téléphone. Vous ne pouvez soumettre les modifications à partir de la page web du téléphone que lorsque le mot de passe est défini.

Par défaut, l'alerte Aucun mot de passe est activée sur le téléphone. Lorsque le téléphone ne comporte pas de mot de passe utilisateur ou administrateur, les avertissements suivants s'affichent :

  • La page Web du téléphone affiche le message « Aucun mot de passe administrateur fourni. Le Web est en mode lecture seule et vous ne pouvez pas envoyer de modifications. Veuillez changer le mot de passe. » dans le coin supérieur gauche.

    Les champs Mot de passe utilisateur et Mot de passe admin affichent respectivement l’avertissement « Aucun mot de passe fourni » s’il est vide.

  • L'écran du téléphone Problèmes et diagnostics affiche le problème « Aucun mot de passe fourni ».
1

Accéder à la page web d'administration du téléphone

2

Sélectionnez Voix > Système.

3

(Facultatif) Dans la section Configuration du système, configurez le paramètre Afficher les avertissements du mot de passe sur Oui, puis cliquez sur Envoyer toutes les modifications.

Vous pouvez également activer les paramètres dans le fichier de configuration du téléphone (cfg.xml).

<Display_Password_Warnings ua="na">Oui</Display_Password_Warnings>

Par défaut Oui

Options : Oui|Non

Lorsque le paramètre est défini sur Non, l'alerte de mot de passe n'apparaît ni sur la page Web ni sur l'écran du téléphone. De plus, le mode prêt uniquement pour la page Web ne sera pas activé même si le mot de passe est vide.

4

Recherchez le paramètre Mot de passe utilisateur ou Mot de passe admin, puis cliquez sur Changer le mot de passe à côté du paramètre.

5

Saisissez le mot de passe utilisateur actuel dans le champ Ancien mot de passe.

Si vous n’avez pas de mot de passe, laissez le champ vide. La valeur par défaut est activée.
6

Saisissez un nouveau mot de passe dans le champ Mot de passe.

7

Cliquez sur Soumettre.

Le message Le mot de passe a été modifié avec succès. s'affichera sur la page Web. La page Web sera actualisée dans quelques secondes. L'avertissement situé à côté du paramètre disparaîtra.

Une fois que vous avez défini le mot de passe utilisateur, ce paramètre affiche les éléments suivants dans le fichier XML de configuration du téléphone (cfg.xml) :

<!-- <Admin_Password ua="na">;*************</Admin_Password> <User_Password ua="rw">;*************</User_Password> -->

Si vous recevez le code d'erreur 403 lorsque vous tentez d'accéder à la page Web du téléphone, vous devez définir le mot de passe utilisateur ou admin en le provisionnant dans le fichier de configuration du téléphone (cfg.xml). Par exemple, entrez une chaîne au format suivant :

<Admin_Password ua="na">P0ssw0rd_tes89</Admin_Password>

<User_Password ua="rw">Abc123</user_Password>

Authentification 802.1X

Les téléphones IP Cisco prennent en charge l'authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Catalyst Cisco utilisent généralement le protocole CDP (Cisco Discovery Protocol) pour s’identifier les uns les autres et déterminer des paramètres tels que l’allocation VLAN et les besoins en alimentation en ligne. CDP n’identifie pas localement les postes de travail raccordés. Les téléphones IP Cisco fournissent un mécanisme de transmission EAPOL. Ce mécanisme permet à un poste de travail raccordé au téléphone IP Cisco de transmettre des messages EAPOL à l’authentificateur 802.1X au niveau du commutateur LAN. Le mécanisme de transmission directe garantit que le téléphone IP n'agit pas en tant que commutateur LAN pour authentifier un point de terminaison de données avant d'accéder au réseau.

Les téléphones IP Cisco fournissent également un mécanisme de déconnexion EAPOL par proxy. Si l’ordinateur connecté localement se déconnecte du téléphone IP, le commutateur LAN ne voit pas la connexion physique en panne, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour éviter de compromettre l'intégrité du réseau, le téléphone IP envoie un message EAPOL-Logoff au commutateur pour le compte de l'ordinateur en aval, ce qui déclenche le commutateur LAN pour effacer l'entrée d'authentification de l'ordinateur en aval.

La prise en charge de l'authentification 802.1X nécessite plusieurs composants :

  • Téléphone IP Cisco Le téléphone lance la demande d'accès au réseau. Les téléphones IP Cisco contiennent un demandeur 802.1X. Ce demandeur permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports de commutation LAN. La version actuelle du demandeur 802.1X du téléphone utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

  • service d’authentification Le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé qui authentifie le téléphone.

  • Commuter : Le commutateur doit prendre en charge 802.1X, afin qu'il puisse agir en tant qu'authentificateur et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur accorde ou refuse au téléphone l'accès au réseau.

Vous devez effectuer les actions suivantes pour configurer 802.1X.

  • Configurez les autres composants avant d'activer l'authentification 802.1X sur le téléphone.

  • Configurer le port PC : La norme 802.1X ne prend pas en compte les VLAN et recommande donc qu'un seul périphérique soit authentifié sur un port de commutation spécifique. Cependant, certains commutateurs prennent en charge l'authentification sur plusieurs domaines. La configuration du commutateur détermine si vous pouvez connecter un PC au port PC du téléphone.

    • Activé : Si vous utilisez un commutateur qui prend en charge l'authentification sur plusieurs domaines, vous pouvez activer le port PC et y connecter un ordinateur. Dans ce cas, les téléphones IP Cisco prennent en charge le déconnexion de l'EAPOL par proxy pour surveiller les échanges d'authentification entre le commutateur et l'ordinateur connecté.

      Pour plus d'informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Catalyst Cisco, reportez-vous aux guides de configuration des commutateurs Catalyst Cisco à l'adresse :

      http://www.cisco.com/fr/FR/products/hw/switches/ps708/tsd_products_support_series_home.html

    • désactivé Si le commutateur ne prend pas en charge plusieurs périphériques compatibles 802.1X sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1X est activée. Si vous ne désactivez pas ce port et que vous tentez ensuite d’y brancher un ordinateur, le commutateur refuse l’accès réseau au téléphone et à l’ordinateur.

  • Configurer le VLAN voix : Étant donné que la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.
    • Activé : Si vous utilisez un commutateur qui prend en charge l’authentification sur plusieurs domaines, vous pouvez continuer à utiliser le VLAN voix.
    • désactivé Si le commutateur ne prend pas en charge l’authentification sur plusieurs domaines, désactivez le VLAN voix et envisagez d’affecter le port au VLAN natif.
  • (Pour les téléphones Cisco Desk Phone série 9800 uniquement)

    Le PID du téléphone de bureau Cisco série 9800 comporte un préfixe différent de celui des autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, configurez le paramètre Radius·Nom d'utilisateur pour inclure votre téléphone de bureau Cisco série 9800.

    Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez configurer Radius.Nom d'utilisateur sur Démarrer avec DP ou Contient DP. Vous pouvez le configurer dans les deux sections suivantes :

    • Politique > Conditions > Conditions de la bibliothèque

    • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1

Activer l'authentification 802.1X

Lorsque l'authentification 802.1X est activée, le téléphone utilise l'authentification 802.1X pour demander l'accès au réseau. Lorsque l'authentification 802.1X est désactivée, le téléphone utilise le protocole CDP (Cisco Discovery Protocol) pour obtenir l'accès au réseau et au réseau. Vous pouvez également afficher l'état de la transaction et sa modification sur le menu de l'écran du téléphone.

Lorsque l'authentification 802.1X est activée, vous pouvez également sélectionner le certificat du périphérique (MIC/SUDI ou personnalisé) pour l'inscription initiale et le renouvellement du certificat. En général, MIC est pour le téléphone vidéo Cisco 8875, SUDI est pour le téléphone de bureau Cisco série 9800. CDC ne peut être utilisé pour l'authentification que dans 802.1x.

1

Effectuez l'une des actions suivantes pour activer l'authentification 802.1X :

  • Dans l'interface Web du téléphone, sélectionnez Voix > Système et configurez le paramètre Activer l'authentification 802.1X sur Oui. Puis, cliquez sur Envoyer toutes les modifications.
  • Dans le fichier de configuration (cfg.xml), entrez une chaîne au format suivant :

    <Enable_802.1X_Authentication ua="rw">Oui</Enable_802.1X_Authentication>

    Valeurs valides : Oui|Non

    Par défaut Non

  • Sur le téléphone, appuyez sur Paramètres the Settings hard keyet allez dans Réseau et service > Paramètres de sécurité > Authentification 802.1X. Placez le champ Authentification du périphérique sur Activé, puis sélectionnez Appliquer.
Tableau 2. Paramètres de l'authentification 802.1X sur l'écran du téléphone

Paramètres

Options

Par défaut

Description

Authentification du périphérique

Activé

Désactivé

Désactivé

Activez ou désactivez l'authentification 802.1X sur le téléphone.

Statut de la transaction

désactivé

Affiche l'état de l'authentification 802.1X. L'état peut être (sans se limiter à) :

  • Identification Indique que le processus d'authentification est en cours.
  • Authentifié Indique que le téléphone est authentifié.
  • désactivé Indique que l'authentification 802.1x est désactivée sur le téléphone.

Protocole

Aucun

Affiche la méthode EAP utilisée pour l'authentification 802.1X. Le protocole peut être EAP-FAST ou EAP-TLS.

Type de certificat utilisateur

Installation de fabrication

Personnalisé installé

Installation de fabrication

Choisissez le certificat pour l'authentification 802.1X lors de l'inscription initiale et du renouvellement du certificat.

  • Installé en usine : le certificat installé en usine (MIC) et l'identificateur de périphérique unique sécurisé (SUDI) sont utilisés.
  • Personnalisé installé : le certificat de périphérique personnalisé (CDC) est utilisé. Ce type de certificat peut être installé soit par téléchargement manuel sur la page Web du téléphone, soit par installation à partir d'un serveur SCEP (Simple Certificate Enrollment Protocol).

Ce paramètre n'apparaît sur le téléphone que lorsque l'option Authentification du périphérique est activée.

2

Sélectionnez un certificat (MIC ou personnalisé) pour l'authentification 802.1X sur la page web du téléphone.

  • Pour le réseau filaire, sélectionnez Voix > Système, choisissez un type de certificat dans la liste déroulante Sélection du certificat dans la section Authentification 802.1X.

    Vous pouvez également configurer ce paramètre dans le fichier de configuration (cfg.xml) :

    <Certificate_Select ua="rw">Personnalisé installé</Certificate_Select>

    Valeurs valides : Installation de fabrication | Installation personnalisée

    Par défaut Installation de fabrication

  • Pour le réseau sans fil, sélectionnez Voix > Système, choisissez un type de certificat dans la liste déroulante Sélection de certificat dans la section Profil Wi-Fi 1.

    Vous pouvez également configurer ce paramètre dans le fichier de configuration (cfg.xml) :

    <Wi-Fi_Certificate_Select_1_ ua="rw">Personnalisé installé</Wi-Fi_Certificate_Select_1_>

    Valeurs valides : Installation de fabrication | Installation personnalisée

    Par défaut Installation de fabrication

Pour des informations sur la sélection d'un type de certificat sur l'écran du téléphone, voir Connecter votre téléphone à un réseau Wi-Fi.

Activer le mode Initié par le client pour les négociations de sécurité du plan de support

Pour protéger les sessions média, vous pouvez configurer le téléphone pour qu'il initie des négociations de sécurité du plan de média avec le serveur. Le mécanisme de sécurité suit les normes énoncées dans la RFC 3329 et son projet d’extension Noms de mécanismes de sécurité pour les médias (Voir https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). Le transport des négociations entre le téléphone et le serveur peut utiliser le protocole SIP sur UDP, TCP et TLS. Vous pouvez limiter que la négociation de sécurité du plan de support n'est appliquée que lorsque le protocole de transport de signalisation est TLS.

1

Accédez à la page web d'administration du téléphone.

2

Sélectionnez Voix > Poste (n).

3

Dans la section Paramètres SIP, configurez les champs Demande MediaSec et MediaSec sur TLS uniquement comme défini dans le tableau suivant :

Tableau 2. Paramètres de négociation de la sécurité du plan de support
ParamètresDescription

Demande MediaSec

Indique si le téléphone initie des négociations de sécurité du plan de support avec le serveur.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <MediaSec_Request_1_ ua="na">Oui</MediaSec_Request_1_>
  • Dans l'interface Web du téléphone, définissez ce champ sur Oui ou Non en fonction des besoins.

Valeurs autorisées : Oui|Non

  • Oui—Mode initié par le client. Le téléphone initie des négociations de sécurité du plan de support.
  • Non—Mode initié par le serveur. Le serveur initie des négociations de sécurité du plan de support. Le téléphone n'initie pas de négociations, mais peut traiter les demandes de négociation du serveur pour établir des appels sécurisés.

Par défaut Non

MediaSec sur TLS uniquement

Spécifie le protocole de transport de signalisation sur lequel la négociation de sécurité du plan de support est appliquée.

Avant de configurer ce champ sur Oui, vérifiez que le protocole de transport de signalisation est TLS.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <MediaSec_Over_TLS_Only_1_ ua="na">Non</MediaSec_Over_TLS_Only_1_>

  • Dans l'interface Web du téléphone, définissez ce champ sur Oui ou Non en fonction des besoins.

Valeurs autorisées : Oui|Non

  • Oui–Le téléphone initie ou traite les négociations de sécurité du plan de support uniquement lorsque le protocole de transport de signalisation est TLS.
  • Non : le téléphone initie et gère les négociations de sécurité du plan de support indépendamment du protocole de transport de signalisation.

Par défaut Non

4

Cliquez sur Envoyer toutes les modifications.

Sécurité WLAN

Étant donné que tous les périphériques WLAN qui sont à portée peuvent recevoir tout le trafic WLAN, la sécurisation des communications vocales est essentielle dans les réseaux WLAN. Pour garantir que les intrus ne manipulent pas et n'interceptent pas le trafic vocal, l'architecture de sécurité SAFE de Cisco prend en charge le téléphone. Pour plus d'informations sur la sécurité dans les réseaux, voir http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie IP sans fil Cisco assure la sécurité des réseaux sans fil, empêchant les connexions non autorisées et les communications dangereuses, à l'aide des méthodes d'authentification suivantes prises en charge par le téléphone :

  • Ouvrir l'authentification : Tout périphérique sans fil peut demander une authentification dans un système ouvert. Le point d'accès qui reçoit la demande peut accorder l'authentification à n'importe quel demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre le périphérique sans fil et le point d'accès (AP) peut être non chiffrée.

  • Authentification EAP-FAST (Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) : Cette architecture de sécurité client-serveur chiffre les transactions EAP au sein d'un tunnel de sécurité de niveau de transport (TLS) entre le point d'accès et le serveur RADIUS, tel que le moteur de services d'identité (ISE).

    Le tunnel TLS utilise des informations d'authentification protégées (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un ID d'autorité (AID) au client (téléphone), qui à son tour sélectionne le PAC approprié. Le client (téléphone) renvoie un PAC-Opaque au serveur RADIUS. Le serveur déchiffre le PAC avec la clé principale. Les deux terminaux contiennent maintenant la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge la mise à disposition automatique de PAC, mais vous devez l'activer sur le serveur RADIUS.

    Dans ISE, par défaut, le PAC expire dans une semaine. Si le téléphone a un PAC expiré, l'authentification avec le serveur RADIUS prend plus de temps pendant que le téléphone obtient un nouveau PAC. Pour éviter les délais de mise à disposition de PAC, définissez la période d'expiration de PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

  • Authentification Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) : EAP-TLS nécessite un certificat client pour l'authentification et l'accès au réseau. Pour EAP-TLS sans fil, le certificat client peut être MIC, LSC ou certificat installé par l'utilisateur.

  • Protected Extensible Authentication Protocol (PEAP) : Schéma d'authentification mutuelle propriétaire par mot de passe entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser PEAP pour l'authentification avec le réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

  • Clé pré-partagée (PSK) : Le téléphone prend en charge le format ASCII. Vous devez utiliser ce format lorsque vous configurez une clé pré-partagée WPA/WPA2/SAE :

    ASCII : une chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, A à Z minuscule et majuscule, et caractères spéciaux)

    Exemple : GREG123567@9ZX&W

Les modèles d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

  • wpa/wpa2/wpa3 : Utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Ces clés étant générées par le serveur RADIUS centralisé, WPA2/WPA3 offre plus de sécurité que les clés prépartagées WPA stockées sur le point d'accès et le téléphone.

  • Itinérance sécurisée rapide : Utilise les informations du serveur RADIUS et d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache d'informations d'authentification de sécurité pour les périphériques clients avec FT pour une réauthentification rapide et sécurisée. Les téléphones de bureau Cisco 9861 et 9871 et les téléphones vidéo Cisco 8875 prennent en charge 802.11r (FT). Tant sur l'antenne que sur le DS sont pris en charge pour permettre l'itinérance sécurisée rapide. Mais nous vous recommandons fortement d'utiliser la méthode 802.11r (FT) par rapport à la méthode aérienne.

Avec WPA/WPA2/WPA3, les clés de chiffrement ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre le point d'accès et le téléphone. Mais les nom d'utilisateur et mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour garantir que le trafic voix est sécurisé, le téléphone prend en charge TKIP et AES pour le chiffrement. Lorsque ces mécanismes sont utilisés pour le chiffrement, les paquets SIP de signalisation et les paquets RTP (Real-Time Transport Protocol) vocaux sont chiffrés entre le point d'accès et le téléphone.

kip (tkip)

WPA utilise un chiffrement TKIP qui a plusieurs améliorations par rapport à WEP. TKIP fournit un chiffrement de clé par paquet et des vecteurs d'initialisation (IV) plus longs qui renforcent le chiffrement. De plus, une vérification de l’intégrité des messages (MIC, Message Integrity Check) garantit que les paquets chiffrés ne sont pas modifiés. TKIP supprime la prévisibilité de WEP qui aide les intrus à déchiffrer la clé WEP.

aes

Une méthode de chiffrement utilisée pour l'authentification WPA2/WPA3. Cette norme nationale de chiffrement utilise un algorithme symétrique qui possède la même clé pour le chiffrement et le déchiffrement. AES utilise un chiffrement CBC (Cipher Blocking Chain) d'une taille de 128 bits, qui prend en charge les tailles de clés de 128 bits, 192 bits et 256 bits au minimum. Le téléphone prend en charge une taille de clé de 256 bits.

Les téléphones de bureau Cisco 9861 et 9871 et les téléphones vidéo Cisco 8875 ne prennent pas en charge le protocole CKIP (Cisco Key Integrity Protocol) avec CMIC.

Les modèles d'authentification et de chiffrement sont configurés dans le réseau local sans fil. Les VLAN sont configurés dans le réseau et sur les points d'accès et spécifient différentes combinaisons d'authentification et de chiffrement. Un SSID s'associe à un VLAN et au schéma d'authentification et de chiffrement particulier. Pour que les périphériques clients sans fil puissent s'authentifier avec succès, vous devez configurer les mêmes SSID avec leurs modèles d'authentification et de chiffrement sur les points d'accès et sur le téléphone.

Certains modèles d'authentification nécessitent des types de chiffrement spécifiques.

  • Lorsque vous utilisez une clé pré-partagée WPA, une clé pré-partagée WPA2 ou SAE, la clé pré-partagée doit être configurée de manière statique sur le téléphone. Ces touches doivent correspondre à celles qui se trouvent sur le point d'accès.

  • Le téléphone prend en charge la négociation automatique EAP pour FAST ou PEAP, mais pas pour TLS. Pour le mode EAP-TLS, vous devez le spécifier.

Les modèles d'authentification et de chiffrement du tableau suivant présentent les options de configuration réseau pour le téléphone qui correspond à la configuration du point d'accès.

Tableau 2. Modèles d’authentification et de chiffrement
Type FSRIdentificationGestion des clésChiffrementCadre de gestion protégé (PMF)
802.11r (FT)PSK

wpa-psk

wpa-psk-sha256

ft-psk

aesNon
802.11r (FT)WPAD

eig

ft-sae

aesOui
802.11r (FT)eap-tls

wpa-eap

ft-eap

aesNon
802.11r (FT)eap-tls (wpa3)

wpa-eap-sha256

ft-eap

aesOui
802.11r (FT)EAP-FAST

wpa-eap

ft-eap

aesNon
802.11r (FT)eap-fast (wpa3)

wpa-eap-sha256

ft-eap

aesOui
802.11r (FT)eap-peap

wpa-eap

ft-eap

aesNon
802.11r (FT)eap-peap (wpa3)

wpa-eap-sha256

ft-eap

aesOui

Configurer le profil Wi-Fi

Vous pouvez configurer un profil de réseau Wi-Fi à partir de la page Web du téléphone ou à partir de la resynchronisation du profil du périphérique distant, puis associer le profil aux réseaux Wi-Fi disponibles. Vous pouvez utiliser ce profil Wifi pour vous connecter à un réseau Wifi. Actuellement, un seul profil Wi-Fi peut être configuré.

Le profil contient les paramètres nécessaires pour que les téléphones se connectent au serveur téléphonique en Wi-Fi. Lorsque vous créez et utilisez un profil de réseau Wi-Fi, vous ou vos utilisateurs n'avez pas besoin de configurer le réseau sans fil pour les téléphones individuels.

Un profil Wi-Fi vous permet d'empêcher ou de limiter les modifications apportées à la configuration Wi-Fi sur le téléphone par l'utilisateur.

Nous vous recommandons d'utiliser un profil sécurisé avec des protocoles de chiffrement pour protéger les clés et les mots de passe lorsque vous utilisez un profil Wi-Fi.

Lorsque vous configurez des téléphones pour qu'ils utilisent la méthode d'authentification EAP-FAST en mode de sécurité, vos utilisateurs ont besoin d'identifiants individuels pour se connecter à un point d'accès.

1

Accédez à la page web du téléphone.

2

Sélectionnez Voix > Système.

3

Dans la section Profil Wi-Fi (n), configurez les paramètres comme décrit dans le tableau suivant Paramètres du profil Wi-Fi.

La configuration du profil Wi-Fi est également disponible pour la connexion de l'utilisateur.
4

Cliquez sur Envoyer toutes les modifications.

Paramètres du profil Wi-Fi

Le tableau suivant définit la fonction et l'utilisation de chaque paramètre dans la section Profil Wi-Fi(n) sous l'onglet Système de la page Web du téléphone. Il définit également la syntaxe de la chaîne ajoutée au fichier de configuration du téléphone (cfg.xml) pour configurer un paramètre.

ParamètresDescription
Nom du réseauVous permet de saisir un nom pour le SSID qui s'affichera sur le téléphone. Plusieurs profils peuvent avoir le même nom de réseau avec un mode de sécurité différent.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <Network_Name_1_ ua="rw">cisco</Network_Name_1_>

  • Dans la page Web du téléphone, entrez un nom pour le SSID.

Par défaut Vide

Mode de sécuritéVous permet de sélectionner la méthode d'authentification utilisée pour sécuriser l'accès au réseau Wi-Fi. Selon la méthode que vous choisissez, un champ de mot de passe s'affiche pour vous permettre de fournir les informations d'authentification requises pour rejoindre ce réseau Wi-Fi.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <!-- options disponibles : Automatique|EAP-FAST|||PSK||Aucun|EAP-PEAP|EAP-TLS -->

  • Sur la page Web du téléphone, sélectionnez l'une des méthodes :
    • Automatique
    • EAP-FAST
    • PSK
    • Aucun
    • eap-peap
    • eap-tls

Par défaut Automatique

ID utilisateur Wi-FiPermet de saisir un ID utilisateur pour le profil réseau.

Ce champ est disponible lorsque vous définissez le mode de sécurité sur Auto, EAP-FAST ou EAP-PEAP. Il s'agit d'un champ obligatoire qui peut comporter au maximum 32 caractères alphanumériques.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <Wifi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>

  • Dans la page Web du téléphone, saisissez un ID utilisateur pour le profil réseau.

Par défaut Vide

Mot de passe Wi-FiVous permet de saisir le mot de passe pour l'ID utilisateur Wi-Fi spécifié.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>

  • Dans la page Web du téléphone, saisissez un mot de passe pour l'ID utilisateur que vous avez ajouté.

Par défaut Vide

Bande de fréquenceVous permet de sélectionner la bande de fréquence du signal sans fil utilisée par le réseau local sans fil.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <Frequency_Band_1_ ua="rw">Auto</Frequency_Band_1_>

  • Sur la page Web du téléphone, sélectionnez l'une des options :
    • Automatique
    • 2,4 GHz
    • 5 GHz

Par défaut Automatique

Sélection du certificatVous permet de sélectionner un type de certificat pour l'inscription initiale des certificats et le renouvellement des certificats dans le réseau sans fil. Ce processus n'est disponible que pour l'authentification 802.1x.

Effectuez l’une des opérations suivantes :

  • Dans le fichier de configuration du téléphone à l'aide de XML(cfg.xml), entrez une chaîne au format suivant :

    <Certificate_Select_1_ ua="rw">Installation en usine</Certificate_Select_1_>

  • Sur la page Web du téléphone, sélectionnez l'une des options :
    • Installation de fabrication
    • Personnalisé installé

Par défaut Installation de fabrication